CVE-2016-4117-Report

Rapport de vulnérabilité pour CVE-2016-4117

Scores CVSS et types de vulnérabilité pour CVE-2016-4117

---

Une description de base de la vulnérabilité et comment elle peut être exploitée.

Une vulnérabilité critique (CVE-2016-4117) existe dans Adobe Flash Player 21.0.0.226 et versions antérieures pour Windows, Macintosh, Linux et Chrome OS. Une exploitation réussie pourrait provoquer un crash et potentiellement permettre à un attaquant de prendre le contrôle du système affecté [2]. Considérez que vous avez reçu un e-mail contenant un document MS Office de la part de quelqu'un ou que vous avez téléchargé un document MS Office hébergé sur un serveur DDNS. Si ce document MS Office est spécialement conçu par l'attaquant qui cherche à exploiter cette vulnérabilité, alors les actions suivantes se produiront probablement.

1. Vous ouvrez le document MS Office sur un système qui exécute Flash Player 21.0.0.226 ou antérieur mais pas antérieur à 21.0.0.196 [6]
2. Vous verrez le contenu basé sur Flash dans le document et l'exploit est déclenché
3. Votre ordinateur se connecte au serveur d'un attaquant et télécharge une charge utile malveillante
4. Vous verrez un document leurre et pourriez ne rien reconnaître de malveillant, mais votre système est compromis et il fait probablement partie d'un Botnet attendant les instructions du serveur de Command and Control (C&C) [Veuillez consulter la section des détails techniques pour plus d'informations]

---

Quels systèmes sont impactés?

Toutes les plateformes Windows, Macintosh, Linux et Chrome OS exécutant Adobe Flash Player 21.0.0.226 ou antérieur sont impactées par la vulnérabilité CVE-2016-4117.

---

Que peut-on faire pour atténuer la vulnérabilité?

Adobe a corrigé CVE-2016-4117 le 12 mai 2016 et a recommandé aux utilisateurs de mettre à jour leur installation du produit vers les dernières versions en utilisant les instructions référencées dans le bulletin de sécurité [2]. De plus, les utilisateurs peuvent également éviter d'utiliser Adobe Flash Player si cela n'est pas nécessaire pour leurs systèmes.

---

Un code d'exploitation est-il disponible?

Oui. Il n'existe pas de module Metasploit pour CVE-2016-4117, mais les étapes suivantes peuvent être suivies pour lire et écrire arbitrairement dans la mémoire.

1. L'attaquant définit un nom de propriété comme "placement" qui entre en conflit avec le nom d'interface interne dans com.adobe.tvsdk.mediacore.timeline.operations.DeleteRangeTimelineOperation
2. Maintenant, l'appel à l'interface "placement" amène la machine virtuelle ActionScript à appeler la fonction interne getBinding pour obtenir l'ID de liaison
3. Comme la propriété "placement" est en conflit avec le nom de l'interface, l'attaquant peut manipuler l'ID de liaison et créer un conflit
4. Afin d'introduire du code shell pour contrôler la mémoire, l'exploit définit un objet qui étend ByteArray avec des valeurs distinctives. Les valeurs distinctives aident l'exploit à localiser facilement les objets en mémoire
5. La propriété "placement" peut maintenant manipuler l'ID de liaison pour lire hors limites et pointer vers le ByteArray étendu qui contient le code shell
6. Comme le code shell présent dans le ByteArray est exécuté, l'attaquant a la capacité de corrompre l'un des objets pour étendre sa longueur à 0xffffffff (mémoire haute) et son tampon de données à l'adresse 0, c'est-à-dire que l'objet est capable de lire et d'écrire tout le contenu de la mémoire (RAM)
7. Par exemple, si le système est un serveur web, la valeur de la clé privée stockée en mémoire peut être lue par l'exploit et compromettre l'identité du serveur web [3]

---

Comment les activités d'exploitation pourraient-elles impacter les systèmes vulnérables?

Considérez que le système sous-jacent est un serveur web basé sur Ubuntu exécutant Adobe Flash Player version 21.0.0.226 ou antérieur mais pas antérieur à 21.0.0.196. Comme expliqué dans la section précédente, l'exploit réussi permet à l'attaquant de lire et d'écrire le contenu de la mémoire. De nombreux types différents de compromission du système sont possibles. Certaines des compromissions possibles sont listées ci-dessous.

1. L'attaquant acquiert tout le contenu de la mémoire et l'envoie aux serveurs C&C
2. L'attaquant vide la mémoire, ce qui pourrait provoquer une interruption de certains services ou le crash de programmes
3. L'attaquant installe une porte dérobée afin que l'hôte compromis puisse être accédé à l'avenir
4. L'attaquant extrait des informations sensibles comme des clés privées, des mots de passe (possible dans certains cas)
5. L'attaquant exécute strace ou un utilitaire de débogage pour s'attacher au processus en cours afin de trouver les appels système/variables possibles et modifier les valeurs des appels système/variables
6. L'attaquant prend le contrôle total du système et le détruit complètement

---

Références

1. http://www.cvedetails.com/cve/CVE-2016-4117/
2. https://helpx.adobe.com/security/products/flash-player/apsa16-02.html
3. https://www.fireeye.com/blog/threat-research/2016/05/cve-2016-4117-flash-zero-day.html
4. https://www.proofpoint.com/us/threat-insight/post/microsoft-word-intruder-8-adds-support- for-flash-vulnerability
5. http://malware.dontneedcoffee.com/2016/05/cve-2016-4117-flash-up-to-2100213-and.html
6. http://blog.morphisec.com/flash-vulnerability-cve-2016-4117